[정보보안 일반] 기본 보안용어 정의

---

[정보보안 일반] 기본 보안용어 정의

---

1. 자산(Asset)

 - 조직이 보호해야 할 대상으로서 데이터 혹은 자산 소유자가 가치를 부여한 실체이다.

 

2. 취약점(취약성, Vulnerability)

 - 컴퓨터나 네트워크에 침입하여 환경 내의 리소스에 대한 허가되지 않은 접근을 시도하려는 공격자에게 열린 문을 제공할 수 있는 소프트웨어, 하드웨어, 절차 혹은 인력상의 약점을 가리킨다. 즉, 위협의 이용대상으로 관리적 물리적 기술적 약점이다.

 

3. 위협(Treat)

 - 손실이나 손상의 원인이 될 가능성을 제공하는 환경의 집합니다.

 - 보안에 해를 끼치는 행동이나 사건이다.

 - 임의의 위협은 네가지로 구분된다.

[기밀성에 영향]

    ■ 가로채기(interception) :  비인가된 당사자가 자산으로의 접근을 획득한 것을 의미(불법 복사, 도청 등)

[가용성에 영향]

    ■ 가로막음(interruption) : 시스템 자산은 손실되거나, 손에 넣을 수 없거나, 사용 불가능하게 됨(하드웨어 장치의 악의적 파괴, 파일 삭제, 서비스 거부 등)

[무결성에 영향]

    ■ 변조(modification) : 비인가된 당사자가 접근하여 그 내용을 변경(데이터베이스 특정값 변경, 특정 프로그램 변경 등)

    ■ 위조(fabrication) : 비인가된 당사자가 컴퓨팅 시스템상에 불법 객체의 위조 정보를 생성(네트워크 통신에 가짜 거래 정보를 만듦 등) 

 

4. 위협 주체(위협원, Treat agents)

 - 취약점을 이용하는 존재는 위협 주체라고 불린다.

 - 위협 주체는 침입차단시스템의 포트를 통해 네트워크에 접근하는 침입자, 보안 정책을 위반하는 방식으로 데이터에 접근하는 프로세스, 시설물을 파괴하는 태풍, 혹은 의도하지 않은 실수로 기밀 정보를 누설하거나 파일의 무결성을 손상시키는 직원이 될 수 있다.

 

5. 위험(Risk)

- 위협 주체가 취약점을 활용할 수 있는 가능성과 그와 관련된 비즈니스 영향을 가리킨다. 만약 침입차단시스템이 다수의 개방된 포트를 가지고 있다면, 침입자가 허가되지 않은 방법으로 네트워크에 접근할 가능성이 높다.

 - 위협 주체가 취약점을 이용하여 위협이라는 행동을 통해 자산에 악영향을 미치는 결과를 가져올 가능성으로 위험은 자산X위협X취약점으로 표현된다.

 

6. 노출(Exposure)

 - 위협 주체로 인해서 손실이 발생할 수 있는 경우를 말한다. 취약점은 조직에 있어서 가능한 피해를 노출시킨다.

 - 만약 패스워드 관리가 허술하고 패스워드 규칠이 집행되지 않으면, 기업은 사용자들의 패스워드가 유출되어 허가되지 않은 방법으로 사용될 수 있는 가능성에 노출된다.

 

7. 대책/안전장치(Countermeasure/Safeguard)

 - 대책 혹은 안전장치는 잠재적 위험을 완화시키기 위해 배치된다. 대책은 취약점을 제거하거나 위협 주체가 취약점을 이용할 수 있는 가능성을 감소시키기 위한 소프트웨어 설정, 하드웨어 장비, 또는 절차이다.

 

8. 다계층 보안/심층 방어(Defense in Depth)

 - Multi Layered(Level) Security라고도 불리는 것으로, 여러 계층의 보안대책이나 대응수단을 구성하는 것을 말한다.

 - 다계층 보안이므로 한 가지 통제가 대응에 실패하더라도 전체 시스템을 위험에 빠뜨리지 않는다.

 - 시스템이 취할 수 있는 가장 최선의 보안 접근 방법으로, 보호·탐지·대응으로 이루어진 보안 접근법이다.

 

9. 직무상의 신의성실, 노력(Due Care, Due Diligence)

 - Due : 특정 목적을 위하여 필요하거나 요구되는 적절하고 충분한 의무이다.

 - Due Care : 특정 목적을 위하여 필요하거나 요구되는 충분한 주의이다.

 - Due Diligence : 특정 목적을 위하여 필요하거나 요구되는 충분한 노력이다.

 

10. 사회공학(Social Engineering)

 - 컴퓨터 보안에서 인간 상호 작용의 깊은 신뢰를 바탕으로 사람들을 속여 정상적인 보안 절차를 깨트리기 위한 침입 수단이다.

 - 우선 통신망 보안 정보에 접근 권한이 있는 담당자와 신뢰를 쌓아 전화나 이메일을 통해 도움을 받고, 약점을 이용한다. 

 

11. 시점별 통제(Control)

  (1) 예방통제(Preventive Control) : 사전에 위협과 취약점엠 대처하는 통제이다.

  (2) 탐지통제(Detective Control) : 위협을 탐지하는 통제로, 빠르게 탐지할수록 대처하기에 용이하다.

  (3) 교정통제(Corrective Control) : 이미 탐지된 위협이나 취약점에 대처하거나, 위험이나 취약점을 감소시키는 통제이다.

 

기본 보안 용어 정리 표

구분	설명
공격자	시스템을 공격하거나 위협하는 존재
공격	시스템의 보안 서비스를 회피하여 보안 정책을 위반하려는 의도된 시도
대응	피해의 최소화 및 적절한 대응을 위해 탐지, 보고하여 위험, 노출, 공격을 제거하거나 방지하는 행위
위험	특정 위협이 가져올 피해가 확률적으로 표현되는 예상 손실
보안 정책	시스템이나 기관이 민감하고 중요한 시스템 자원에 보안 서비스를 제공하기 위해 명시한 규정과 업무
자산	정보 시스템 내의 데이터, 시스템의 서비스, 처리 기능, 통신 대역폭, 시스템 장비(하드웨어, 펌웨어, 소프트웨어, 문서). 시스템 장비 설비
위협	보안을 침해하고 손해를 가져올 수 있는 상황, 행위, 이벤트가 존재할 때의 잠재적 보안 위반
취약점	시스템 보안 정책을 위반할 수 있는 시스템 설계, 구현, 혹은 운영, 관리상의 오류 및 약점